Segurança e conformidade da Microsoft: GDAP vs. DAP.

À medida que o modelo de segurança Zero Trust é implementado em todos os produtos, serviços e ecossistemas de parceiros da Microsoft, a Microsoft está a encerrar os privilégios de administração delegados (DAP) em favor dos privilégios de administração delegados granulares (GDAP), que são mais seguros.

Isso afeta todos os parceiros da Microsoft globalmente, mas é uma mudança que beneficia todos os clientes da Microsoft universalmente.

Em primeiro lugar e mais importante, mantendo o princípio Zero Trust de verificação e utilizando o acesso com privilégios mínimos, o GDAP oferece funções mais explícitas e parâmetros sensíveis ao tempo para o acesso dos parceiros aos ambientes dos clientes do que o DAP.

O acesso é restrito aos clientes em um nível mais profundo, reduzindo o risco de segurança entre os parceiros da Microsoft e seus clientes. Mais especificamente, o GDAP detalha o acesso nos níveis de cliente, parceiro, utilizador e carga de trabalho para diferentes serviços da Microsoft.

O GDAP destina-se a ser uma medida de proteção em torno do acesso aos dados dos clientes, ao mesmo tempo que ajuda os parceiros a acomodar os clientes com requisitos regulamentares para permitir apenas o acesso com privilégios mínimos aos fornecedores.

No final de maio de 2023, a Microsoft fez a transição de relações DAP ativas e inativas para relações GDAP com funções limitadas do Azure Active Directory (AAD).

Nos 60 dias seguintes, as relações DAP correspondentes foram removidas. Quaisquer relações transferidas do DAP para o GDAP antes de maio não foram afetadas, mas a Microsoft desativou todo o acesso DAP restante no final de julho.

Os parceiros da Microsoft podem atribuir os seus utilizadores a diferentes grupos de segurança e funções associadas.

Esses grupos de segurança têm acesso às cargas de trabalho dos clientes por um período fixo, de até dois anos, no máximo. Quando o período termina, o acesso é encerrado automaticamente.

Embora as ligações DAP nunca expiram, as ligações GDAP expiram automaticamente para criar um ambiente mais seguro. Quando uma relação GDAP está prestes a expirar, tanto o parceiro quanto o cliente receberão uma notificação por e-mail 30 dias, sete dias e um dia antes do término. Os utilizadores parceiros que foram atribuídos a um grupo de segurança para esse cliente não terão mais acesso nem poderão administrar serviços sem uma renovação. Para renovar a duração da permissão de acesso, uma nova solicitação GDAP deverá ser enviada ao cliente.

Como o GDAP tem como objetivo reduzir significativamente o risco para os clientes empresariais da Microsoft, ele oferece soluções de segurança mais granulares do que o DAP.

Estes incluem:

Nível de acesso/funções
As relações DAP fornecem funções de administrador global e administrador de helpdesk por predefinição, embora não seja possível alterá-las. O GDAP permite um nível mais profundo de personalização de permissões, que pode até ser exclusivo para cada cliente. Isso é importante se você trabalha com um provedor atualmente e não deseja riscos de terceiros.

Cronograma do relacionamento
Os relacionamentos DAP duram para sempre. O cliente aceita o link de administrador delegado e esse relacionamento é permanente, a menos que você acesse as configurações e remova o relacionamento manualmente. O GDAP permite a criação de cronogramas personalizados para a duração do relacionamento, com um prazo máximo de dois anos.

Link de convite
Os links de relacionamento DAP são universais por região. Isso significa que utiliza o mesmo link DAP para todos os clientes que são integrados no Centro de Parceiros. O GDAP oferece diferentes níveis de acesso por cliente, o que significa que cada convite é exclusivo para cada cliente.

Atribuição de grupo de segurança
Nas relações DAP, não há camadas de atribuição. O mesmo nível de acesso é concedido a todos os membros de um ambiente Partner Center que têm acesso aos clientes. O GDAP permite grupos de segurança aninhados dentro de funções separadas, oferecendo um maior grau de permissões diversificadas.

Registos de atividades
Com o DAP, não há registos de atividades granulares que mostrem quando as permissões de acesso delegadas estão a ser utilizadas a partir do Partner Center. Eles também não incluem nenhuma informação sobre o ciclo de vida de uma relação de administrador delegado, como quando foi aceite ou removida. O GDAP oferece maior visibilidade nos registos de atividades do AAD, tanto no nível do fornecedor quanto do cliente.

Acesso ao Centro S&C
O DAP não permite que você acesse determinados portais administrativos em nome dos clientes através dos centros de parceiros. O GDAP oferece maior flexibilidade e é mais intuitivo do que o seu antecessor.

Suporte PIM
O Privilege Identity Management (PIM) é um serviço da Microsoft que permite níveis de acesso "just in time". Basicamente, permite elevar temporariamente a sua função para realizar determinadas tarefas administrativas. O PIM é combinado com o GDAP para permitir que os fornecedores elevem privilégios em alguns grupos de segurança que têm determinadas funções nos ambientes dos clientes, melhorando ainda mais a segurança ao permitir uma resposta rápida a questões específicas.

O GDAP está disponível para todos os parceiros da Microsoft, incluindo CSPs e MSPs.

Essas alterações, conforme mencionado anteriormente, estão em vigor desde maio de 2023, com todos os utilizadores que ainda utilizam o DAP totalmente transferidos para uma relação GDAP e a relação DAP encerrada até o final de julho.

Anteriormente, tanto distribuidores como CSP Tier 1s e MSPs como revendedores indiretos tinham estabelecido DAP com todos os clientes a jusante. Isso permitiu que os distribuidores licenciassem clientes e prestassem suporte, ao mesmo tempo que permitiu que MSPs e parceiros prestassem suporte e gestão através do Partner Center.

Agora, os fornecedores têm maior controlo sobre o acesso granular e limitado no tempo às cargas de trabalho dos clientes, para que possam resolver mais facilmente as preocupações de segurança dos clientes. Os CSPs, MSPs e parceiros agora têm mais ajuda para resolver preocupações sobre segurança de dados, reduzindo a chance de incidentes de segurança no futuro. Essas entidades também podem relatar como as equipas de fornecedores estão a aceder aos inquilinos empresariais.

Os fornecedores podem restringir o acesso dos seus funcionários que gerem os serviços e ambientes dos seus clientes, bem como desativar ou reduzir as ligações GDAP ou DAP não utilizadas, a fim de mitigar a responsabilidade e melhorar a segurança.